Spyware in reclame op MySpace treft miljoen bezoekers

Gebruikers van de communitywebsite MySpace zijn begin deze maand onder vuur komen te liggen van een kwaadaardige banner die spyware installeerde op ongepatchte pc's. Naar schatting zijn er ruim een miljoen computers geïnfecteerd met de malware. De banner in kwestie, die reclame maakte voor Deckoutyourdeck.com, probeert via de WMF-exploit in Internet Explorer nietsvermoedende surfers te voorzien van een trojaans paard. Eenmaal geïnstalleerd wordt adware gedownload van verschillende bedrijven, waaronder PurityScan, die ervoor zorgt dat de computergebruiker getrakteerd wordt op een regelmatige aanvoer van popupreclame. Hemanshu Nigam, hoofd beveiliging bij MySpace, veroordeelde de actie als 'crimineel'. Deze advertentie wordt aangeleverd door reclamebedrijven die advertenties over duizenden websites verspreiden, waaronder MySpace, aldus Nigam. MySpace is in overleg gegaan met deze bedrijven om de kwaadaardige banner te verwijderen.

Rob Ayoub, een analist van het onderzoeksbureau Frost & Sullivan, vindt dat er twee zaken kunnen worden gedestilleerd uit het incident. Het eerste feit is dat een deel van de thuisgebruikers niet op de hoogte is van de noodzaak om hun computers up-to-date te houden met de nieuwste beveiligingspatches. Surfers zullen pas de beveiliging van hun pc's serieus gaan nemen, zodra internetproviders antimalware-applicaties verplicht gaan stellen, verwacht Ayoub. 'Een miljoen mensen is een groot aantal en het laat zien dat de ict-industrie, met name beveiligingsbedrijven en softwarefabrikanten, te weinig moeite doen om gebruikers te overtuigen van het belang van het downloaden van patches'. Het tweede feit is dat MySpace een slecht functionerend beveiligingssysteem heeft met betrekking tot de advertenties die het weergeeft. Ayoub stelt: 'Bedrijven als MySpace hebben een verantwoordelijkheid om de aangeboden diensten schoon te houden'. Hij kan zich niet voorstellen dat websites die advertenties van derden laten zien, laks zijn met de controle op de inhoud van het aangeboden materiaal.

Ondertussen drukt het bedrijf internetsurfers op het hart om de standaard veiligheidsvoorzieningen te treffen, waaronder het draaien van de recentste versie van Windows, het installeren van de nodige patches en het gebruiken van de nieuwste antispyware- en anti-adwaresoftware.

De geïnstalleerde spyware verandert de desktop in een kaleidoscoop van advertenties.

Reacties (56)

[Verwijderd]

Ik blijf het bijzonder vinden dat altijd maar gewezen wordt dat de user zijn PC moet beveiligen. Eigenlijk te idioot voor woorden.

Misschien naïef, maar ik denk dat juist de malware bedrijven aangepakt moeten worden. In dit geval is toch precies bekend wie wat gedaan heeft? Laat die mensen maar boeten voor dit soort activiteiten.

[in reactie op dion_b]
Het voorbeeld wat je gebruikt klopt niet in deze situatie. Het zou dan zijn dat de politie het slachtoffer verwijt dat er ingebroken zou zijn omdat deze geen degelijk hang en sluitwerk zou hebben. Natuurlijk ligt er een stukje verantwoordelijkheid bij beide partijen - maar ik vond het alleen vreemd dat vaak de gebruiker 'de schuld krijgt' omdat anderen hem iets aandoen.

Veel mensen weten er gewoon te weinig vanaf om zich goed te bewapenen. Onwetendheid is (nog niet) strafbaar. =)

[dion_b]

Is het dan ook te idioot voor woorden dat de politie degelijk hang- en sluitwerk op ramen en deuren aanraadt

Het is op zich de taak van de bevoegde overheden om criminele praktijken op te sporen en een halt toe te roepen. Maar je kunt zoiets nooit enkel door interdictie oplossen, je moet ook aan preventie doen, de voedingsbodem voor de kwaal verwijderen. Anders is het dweilen met de kraan open.

Als je geen natte voeten wilt hebben is een dweil nuttig, maar belangrijker is om de kraan in orde te houden. Net zo is het draaien van up-to-date beveiliging op de PC belangrijk om de dit soort troep tegen te houden

[BarôZZa]

Het is toch geen kwestie van of-of? De malwarebedrijven moeten aangepakt worden én de gebruiker moet zorgen dat z'n computer zo goed mogelijk beveiligd is. Hier moet dan ook zoveel mogelijk op gehamerd worden aangezien er altijd schadelijke software zal rondzwerven. Daarnaast is het zo dat het voor makers van malware minder lucratief wordt als hun code bij verreweg de meeste mensen niet werkt. Zo verklein je de markt voor hun.

[Punksmurf]

Ik ben het helemaal met je eens...

De gebruiker moet controlen? MySpace moet controleren? De aanbieder van de advertenties moet controleren?
Dat moet alleen maar omdat er idioten zijn die die troep maken, dus díé moeten aangepakt worden.

[n4m3l355]

Beetje zelfverantwoording kan in deze wereld geen kwaad. Als jij je fiets op het station zet zonder station sta je toch ook niet raar te kijken dat die zo weg is?
Software bevat fouten daar is iedereen van op de hoogte en om deze software veilig te houden zul je moeten updaten. Als jij als gebruiker geen updates draait stel je jezelf gewoon open voor de buitenwereld om misbruikt te worden. Ben je het hier niet mee eens moet je niet op het internet zitten. Mensen duwen imo de verantwoording maar wat makkelijk weg tegenwoordig.
Verder MySpace kan hier misschien iets aan doen maar zij zijn enkel een schakel in de wereld, dat er nu 1 miljoen mensen in 1 keer getroffen worden maakt het interessant maar deze exploits komen belachelijk veel voor en zwerven op duizende sites. Daar horen we echter niets over.

[Verwijderd]

Het probleem ligt duidelijk niet bij de gebruiker. Andedrs zou ik bijvoorbeeld met MacOSX ook steeds in gevaar moeten zijn, maar dat is niet zo.

MacOSX bevat ook lekken, deze worden alleen veel minder vaak ontdekt, omdat er minder mensen OSX gebruiken en het dus ook minder interessant is.

Het vergelijken van een fiets met een computer lijkt mij trouwens erg mislijdend, een fiets is geen computer, net zomin als een huis een computer is. Het updaten van een computer hoort bij het hebben van een computer en internet. Het gaat sowieso automatisch, dus erg moeilijk is het niet.

Ondanks dit alles vind ik niet dat de gebruikers schuldig zijn. Als iedereen zijn patches bijwerkt, zouden dit soort problemen alleen niet meer voorkomen.

[Sfynx]

De grote schuldige in het verhaal is MS. Microsoft heeft het zelfs zo ver geschept dat het geen veilige producten meer moet afleveren. Men heeft ons zo gekneed dat we gewoon het falen van het systeem aanvaarden en de fout bij de consument leggen. Wel dat vind ik dus dikke rip off.

Lul nou niet zo dom. MS heeft hiervoor een update uitgebracht welke het gat dicht. Als jij die update niet installeert (wat trouwens automatisch gaat met Automatic Updates aan, wat nou moeilijk onderhoud, het gebeurt zonder dat je het doorhebt), ben jij de schuldige als je PC door dat gat gehackt wordt. Maak jij maar eens een besturingssysteem dat vanaf het moment van uitbrengen gegarandeerd geen fouten bevat.

Als jij vindt dat MS de schuldige is in dit verhaal, vertel me dan maar even hoe MS het wel had moeten doen in plaats van een fix uitbrengen.

[Verwijderd]

De vergelijking met een fiets is volledig krom. Je koopt een fiets en een slot en dat zou moeten werken, zo is het net met computers je koopt een computer en in deze tijd dan ook een beveiligingsprogramma en dat zou moeten werken.

Je mag nu zo arrogant zijn van te zeggen, ja je moet toch weten dat je je PC moet updaten. Ik vind niet dat dat moet. Een computer moet je kopen en dat ding moet werken als je het steeds moet onderhouden heb je geen computer.

Het probleem ligt duidelijk niet bij de gebruiker. Andedrs zou ik bijvoorbeeld met MacOSX ook steeds in gevaar moeten zijn, maar dat is niet zo.

De grote schuldige in het verhaal is MS. Microsoft heeft het zelfs zo ver geschept dat het geen veilige producten meer moet afleveren. Men heeft ons zo gekneed dat we gewoon het falen van het systeem aanvaarden en de fout bij de consument leggen. Wel dat vind ik dus dikke rip off.

[dasiro]

er zijn nu eenmaal landen waar dit soort praktijken legaal is. noem het bananenrepublieken of whatsoever, maar denk er ook dan aan dat dit soort landen ook de thuisbasis vormt voor sites zoals allofmp3.com

[Verwijderd]

Natuurlijk is 'n user zelf verantwoordelijk voor de beveiliging van z'n apparatuur die aan 't internet hangt, zoals z'n PC. Hiermee is hij dus ook indirekt verantwoordelijk voor de veiligheid van andere internet gebruiker, zodat hij via z'n PC geen virussen/spam/malware verspreid.

Als ik wil autorijden moet ik toch ook 'n rijbewijs hebben om mezelf veilig & veilig ten opzichte van anderen te verplaatsen? Wat dat betreft moeten users die graag 't internet opwillen eigenlijk ook zoiets hebben.

Aan de andere kant zie je dat er enkele goede ISP's zijn die zelf hun internet-connecties schoon houden, zoals Demon (waar ik zelf ook bij zit) Een besmette machine wordt in hun netwerk netjes in quarantine geplaatst & mag pas weer 't internet op, als alle troep verwijderd is & alles gepatched is.

[plakbandrol]

Beetje kromme vergelijking, dat rijbewijs is er in eerste instantie voor dat je geen schade aan anderen berokkend, terwijl de beveiliging van je computer ervoor bedoeld is om te zorgen dat anderen jou geen schade kunnen berokkenen.

Ik zou het eerder willen vergelijken met de situatie waarbij een aantal mensen op straat in elkaar zijn geslagen en beroofd, en waarbij de regering zegt dat deze mensen een zelfverdedigingscursus hadden moeten nemen. En waarbij er afspraken met de dader gemaakt worden, of hij de volgende keer wat minder geweld wil gebruiken.

[Verwijderd]

Zoals ik al zei veroorzaken onbeveiligde PC's veel schade aan andere internet gebruikers. Bijvoorbeeld Spam smtp-relays & natuurlijk verspreiden van virussen.

[Blokker_1999]

Men probeert malware bedrijven wel degelijk aan te pakken. We zien ook steeds meer en meer rechtszaken tegen dit soort bedrijven, Maar een 10tal rechtzaken op een totaal van duizenden bedrijven is enorm weinig.

Daarbij komt nog dat zulke bedrijven dikwijls opereren vanuit landen waar de wet enorm laks is en zulke praktijken dikwijls simpelweg niet verboden zijn. Met als gevolg dat er helemaal niet tegen te beginnen valt.

[GENETX]

MySpace is in overleg gegaan met deze bedrijven om de kwaadaardige banner te verwijderen.

Wat nou overleg? Gewoon een dikke schade vergoeding vragen voor eventuele mensen die hierdoor wegblijven van de site. Gewoon keihard aanpakken dit soort zaken!

[adoy]

Waarom? Omdat het doel van MySpace is om geld te verdienen. En dat krijgen ze van hun adverteerders...

[GENETX]

Ja maar wanneer deze adverteerders gewoon aan criminele praktijken doen (want dat is dit gewoon) dan houden zei zich ook niet aan de regels en zullen ze daarvoormoeten boeten. En mijn post ging niet alleen om MySpace, maar gewoon om al deze praktijken van adverteerders.

[MeMoRy]

bij dat soort commerciele bedrijven is het meestal "Zolang niemand klaagt, is het geen probleem"

[i8086]

Ik vind dat de verantwoordelijke in het reclamebedrijf zelfs gevangenisstraf dient opgelegd te krijgen, en op zijn minst schadevergoeding dient te betalen aan de 1 miljoen gedupeerden.

[BarôZZa]

Onzin, zo pak je de verkeerde mensen. De reclamebedrijven zorgen voor het aanleveren van de ads van andere bedrijven en hebben dus niet zelf de code eropgezet. Ze zullen wel gehackt zijn of er moet misbruik gemaakt zijn van een lek zodat bepaalde code in de ads geplaatst kon worden door de adverterende bedrijven. Nu kan je discussiëren over de beveiliging van de reclamebedrijven, maar dit soort dingen kunnen ze nooit 100% voorkomen. Net als dat MySpace ook een aantal lekken had.

Daarnaast zijn het dus deze bedrijven die ervoor zorgen dat MySpace kan bestaan. Je moet diegene aanpakken die ervoor heeft gezorgd dat de code verspreid werd.

@ hieronder: Controleren zal ongetwijfeld geautomatiseerd zijn als je de ads over duizenden webpagina's moet verspreiden. Hier kan dus een lek inzitten.

Daarnaast is het vreemd om te zeggen dat een bedrijf dat oa MySpace als afnemer heeft moedwillig zoiets zou doen. Dat is simpelweg je eigen ruiten ingooien. En als ze het bedrijf een maand bannen hebben ze zelf ook een maand lang minder inkomsten.

[Pietervs]

Ze zullen wel gehackt zijn of er moet misbruik gemaakt zijn van een lek zodat bepaalde code in de ads geplaatst kon worden door de adverterende bedrijven.
Sorry hoor, maar reclamebedrijven beloven hun klanten ook gouden bergen. En er zijn genoeg bedrijven die hun hand er niet voor omdraaien om dan dit soort praktijken uit te oefenen om er maar voor te zorgen dat ze de afgesproken targets halen.

Ik vind eigenlijk dat MySpace niet eens in overleg moet gaan met het verantwoordelijke bedrijf, maar ze gewoon een maand moet bannen (no pun intended). Want nu heeft MySpace bij mij in ieder geval de naam dat ik het risico kan lopen daar een trojan of virus op te lopen.
(gelukkig kwam ik toch al nooit op MySpace, maar als MySpace niet een gedegen signaal afgeeft naar de adverteerders enerzijds en hun klanten anderzijds is het een kwestie van tijd voor dit soort huftertjes ook achter andere banners malware gaan plaatsen...)

[i8086]

De reclamebedrijven zorgen voor het aanleveren van de ads van andere bedrijven en hebben dus niet zelf de code eropgezet

Een beetje reclamebedrijf maakt zelf de ads, en op zijn minst controleren ze de inhoud daarvan. Anders gooien ze hun naam te grabbel.

[L-project]

Uhm, dat doet er helemaal niet toe. Ze zijn verantwoordelijk voor wat ze aanleveren. Dat er wel een keer wat fout kan gaan is hun bedrijfsrisico. Als ze dat risico niet willen nemen zullen ze veel strictere controles moeten gaan houden, of er mee ophouden.

[Plopeye]

Helemaal mee eens, Dan dient het desbetreffende bureau maar te controleren wat ze aanleveren. Gewoon aanklagen die handel...

Aanbieder van de Ads uit het systeem kicken...
Is de enige manier die werkt in die wereld...

[TheZeroorez]

Niemand, wij modereren ze omlaag omdat jij schreeuwt, verkeerde dingen zegt, en geen argumenten gebruikt. Je kunt ze nog zien, dan moet je boven even je limit op '-1' zetten.

Even reageren op het artikel, in plaats van MS de hele tijd te bashen enzo, heeft meer nut namelijk.

[StiGMaTa]

oordelingen: +1: Standaard niveau, -1: Flamebait, -1: Flamebait, +1: Troll, 0: Overbodig, -0,80: Flamebait, 0: Gemodereerd, Som: -0.8 / 7x

Zegt genoeg zou ik zo zeggen.

[Devil777]

Geen een van je berichten is verwijderd, maar ze zijn slechts naar beneden gemod, waardoor ze op het door jou ingestelde niveau niet meer zichtbaar zijn. Om je niveau te veranderen, klik je onderaan het nieuwsbericht op "geen reacties onder het huidige niveau" en selecteer "Niveau -1"

De oorzaak van het naar beneden modden is trollen, dubbelposten, flamen, en vervolgens in schreeuwerige hoofdletters duidelijk maken dat je boos wordt als je daarop bekritiseerd word.

[Gepetto]

Leuk dat je chris1987 behulpzaam probeert te zijn, maar zo lang hij zijn eigen reacties niet kan zien, dan ziet hij jouw reply daarop (waarin je hem vertelt hoe hij ze zichtbaar kan maken) dus ook niet

[Parasietje]

Surfers zullen pas de beveiliging van hun pc's serieus gaan nemen, zodra internetproviders antimalware-applicaties verplicht gaan stellen

Naar analogie:
Autochauffeurs zullen zich maar aan de snelheidsbeperkingen houden als een snelheidsbegrenzer verplicht gesteld wordt in elke auto.

Volgens mij is gewoon een grote sensibiliseringscampagne nodig. Gevallen als deze moeten in de media komen. Ik kan me voorstellen dat wel wat mensen virusscanners zouden installeren bij het horen van een nieuwsbericht op de nationale televisie:
"Gisternacht is er op de website van Myspace, een virtuele gemeenschap van surfers, een virus verspreid via een reclame-advertentie. Ruim één miljoen mensen zijn besmet met het virus. Voor wie thuisbankiert, betekent dit dat zijn creditcard-gegevens vermoedelijk op straat liggen. Mail paswoorden zijn ook niet veilig, waardoor de verspreiders van het virus nu miljoenen mails kunnen lezen, analyseren, en doelgericht reclame kunnen versturen naar al uw contactpersonen. De overheid raadt aan dat elke burger een virusscanner installeert. Een gratis virusscanner is te vinden op volgend adres: grisoft.com

[Verwijderd]

Het is wachten op de rechtszaak vande 1 miljoen MySpace gebruikers tegen MySpace.

[TheZeroorez]

Doe eens normaal joh

Als je IE gebruikt staat je PC echt niet binnen no-time vol met virussen/spyware, en als je Firefox/Opera/Netscape/Mozilla/Safari of wat dan ook gebruikt, ben je ook niet meteen veilig hoor. Wat een reactie zeg, reageer op het bericht ofzo, dat IE niet helemaal top is weten de meeste tweakers ook wel, maar het is toch niet dom om de browser, die standaard in het OS zit te gebruiken? Da's hartstikke normaal, helemaal voor iemand die er niet zoveel vanaf weet enzo..

En inderdaad zoals RedStrom zegt (logisch ook natuurlijk), is IE gevoeliger voor verkeerde bestanden dan andere browsers, omdat deze zoveel gebruikt wordt, en aantrekkelijk is, wél is het natuurlijk zo dat MS vrij laks is met het patchen, en dat OpenSource vaak toch wel zelf gemakkelijker te tweaken is, en ook de patches/updates zullen er eerder zijn..

[Jazco2nd]

Als ik 20min met IE surf... gewoon doodnormale pagina's... staat mn scherm vol met popups (ondanks de ingebouwde blocker) en ontdek ik later dat er zelfst IE popups verschijnen als ik IE heb afgesloten en weer met Firefox surf.
Onderschat IE niet hoor! door IE kunnen bedrijven echt flink geld verdienen.

[Verwijderd]

De enige reden dat je meer risico loopt is omdat IE meer gebruikers heeft dus aantrekkelijker is voor Virus makers.

In firefox zitten ook genoeg bugs, maar ene IE bug zoeken is nu eenmaal aantrekkelijker.

En dat MS (soms wel eens) laks is met patchen is natuurlijk helemaal mooi voor spyware bedrijfen.

[ferdinand]

Er zijn een aantal dingen tegelijkertijd fout gegaan hier:
- als je alleen normale reclames zou laten zien (png, gif, jpg, tekst of links) dan kan er heel moeilijk troep inzitten
- wat doen die mensen nog met IE?
- waarom doen die mensen niets aan beveiliging?

[BèR]

En het was nou net de WMF-exploit die het mogelijk maakte om een WMF-file met actieve inhoud te verstoppen in een jpg of gif, en vervolgens de actieve inhoud te laten uitvoeren.. Dus het betreft ws gewoon een simpele gif-banner.
En wat doen mensen met IE?
'Dat blauwe e-tje is toch voor internet he?' geldt voor meer 50% van mijn kennissen met een computer. Men weet niet beter, en beveiliging gaat ze dan ook veel te ver.

[mg794613]

Dat soort mensen leg ik het een keer uit.
Doen ze het dan nog een keer, dan houdt ik me handen in de lucht en kunnen ze elke vorm van support vergeten.

[plakbandrol]

Meestal wordt javascript gebruikt om meerdere banners random op te vragen, daarnaast is javascript handig om te controleren welke browser men heeft, en of daar flash op kan draaien.

En die overige twee redenen kun je zelf wel bedenken als je naar de gemiddelde gebruiker kijkt, bij afwezigheid van een handig neefje of buurjongen zie ik vrij weinig mensen actief firewalls installeren of nieuwe browsers uitproberen.

[Sorcerer8472]

Als je het mij vraagt, wordt dit gewoon expres gedaan door reclamebedrijven die een hoop geld hiermee kunnen verdienen. Achteraf is het dan altijd "oeps", maar hebben ze er intussen wel 10.000en dollars mee verdiend in erg korte tijd.

[plakbandrol]

Lijkt me sterk, meestal wordt dit soort malware gemaakt door lieden die zich aanmelden voor een affiliate programma, waarbij zij geld krijgen wanneer iemand de bepaalde adware (vrijwillig) installeert. Door het installeren van de adware via een worm, krijgt de auteur van de malware wel een aardig bedrag, maar de uiteindelijke makers van de adware (die uitbetalen), hebben er weinig aan omdat de adware geinstalleerd is tegen de zin van de gebruiker, dus het is niet waarschijnlijk dat de gebruiker er daadwerkelijk in geïnteresseerd is.

[jasperwillem]

Nou heb ik helaas geen tijd om als sites als myspace rond te hangen, maar ik dacht, laten we er eens gaan kijken hoe het dan aangepakt wordt, dat waarschuwen van gebruikers, nou zwerf ik er een half uur rond en kan er werkelijk niks over vinden....